12.2. /etc/named.conf

12.2.1.1. acl Statement

Das acl Statement (Access Control Statement) definiert eine Gruppe von Hosts, welchen Zugriff zum Nameserver erlaubt oder verboten werden kann.

Ein acl Statement hat folgende Form:

acl <acl-name> {
    <match-element>;
    [<match-element>; ...]
};

In diesem Statement ersetzen Sie <acl-name> mit dem Namen der Access-Control-Liste (Liste der Zugriffskontrolle) und ersetzen Sie <match-element> mit einer List von IP-Adressen, wobei Adressen durch ein Semikolon getrennt werden. Meistens wird eine individuelle IP-Adresse oder IP-Netzwerk-Notation (wie 10.0.1.0/24) benutzt, um die IP Adresse im acl Statement zu identifizieren.

Die folgenden Access-Control-Listen sind bereits als Schl�sselw�rter definiert, um die Konfiguration zu vereinfachen:

• any — Vergleicht jede IP-Adresse.

• localhost — Vergleicht jede IP-Adresse, die auf dem lokalen System verwendet wird.

• localnets — Vergleicht jede IP-Adresse auf allen Netzwerken, mit denen das lokale System verbunden ist.

• none — Vergleicht keine IP-Adressen.

Wenn mit anderen Statements (wie dem options Statement) verwendet, k�nnen acl Statements sehr hilfreich dabei sein, BIND Nameserver vor unbefugtem Zugriff zu sch�tzen.

Das folgende Beispiel gibt zwei Access-Control-Listen an und benutzt ein options Statement, um anzugeben, wie diese vom Nameserver behandelt werden sollen:

 acl black-hats {
    10.0.2.0/24;
    192.168.0.0/24;
 };

acl red-hats {
    10.0.1.0/24;
 };

options {
    blackhole { black-hats; };
    allow-query { red-hats; };
    allow-recursion { red-hats; };
 }
 
 

Dieses Beispiel enth�lt zwei Access-Control-Listen, black-hats und red-hats. Hosts in der black-hats Liste ist der Zugriff zum Nameserver verboten, w�hrend Hosts in der red-hats Liste normaler Zugriff gew�hrt ist.

12.2.1.2. include Statement

Das include Statement erlaubt Dateien in named.conf einzuschliessen. Auf diese Weise k�nnen empfindliche Konfigurationsdaten (wie Keys) in einer separaten Datei mit eingeschr�nkten Rechten gehalten werden.

Ein include Statement hat die folgende Form:

include  "<file-name>"

In diesem Statement, ersetzen Sie <file-name> mit dem absoluten Pfad zu einer Datei.

12.2.1.3. options Statement

Das options Statement legt Konfigurationsoptionen des globalen Servers fest und setzt Defaults f�r andere Statements. Es kann verwendet werden, um den Ort des named Arbeitsverzeichnisses anzugeben, den Typ der erlaubten Queries, uvm.

Das options Statement hat die folgende Form:

options { 
        <option>;
	[<option>; ...] 
};

In diesem Statement, ersetzen Sie die <option> Direktiven mit einer g�ltigen Option.

Die folgenden sind h�ufig benutzte Optionen:

• allow-query — Legt fest, welche Hosts diesen Nameserver abfragen d�rfen. Standardm��ig sind alle Hosts dazu berechtigt. Mit Hilfe einer Access-Controll-Liste, einer Sammlung von IP-Adressen oder Netzwerken kann festgelegt werden, dass nur bestimmte Hosts den Nameserver abfragen d�rfen.

• allow-recursion — �hnelt der Option allow-query, mit der Ausnahme, dass sie sich auf rekursive Abfragen bezieht. Standardm��ig k�nnen alle Hosts rekursive Abfragen auf dem Nameserver durchf�hren.

• blackhole — Gibt an, welchen Hosts es nicht erlaubt ist Anfragen an den Server zu stellen.

• directory — �ndert das named-Arbeitsverzeichnis, so dass es sich von dem Default, /var/named/, unterscheidet.

• forward — Kontrolliert das Verhalten beim Weiterleiten einer forwarders Direktive.

  Die folgenden Optionen werden angenommen:

  • first — Gibt an, dass Nameserver, die in der forwarders-Option festgelegt sind, zuerst nach Informationen abgefragt werden. Sollten anschlie�end keine Informationen vorhanden sein, versucht named die Aufl�sung selbst durchzuf�hren.

  • only — Gibt an, dass named nicht versucht, die Aufl�sung selbst durchzuf�hren, wenn die forwarders Direktive nicht erfolgreich war.

• forwarders — Legt eine Liste von Nameservern fest, bei denen Abfragen f�r Aufl�sungen weitergeleitet werden.

• listen-on — Legt die Netzwerk-Schnittstelle fest, die named verwendet, um Anfragen zu pr�fen. Standardm��ig werden alle Schnittstellen verwendet.

  Auf diese Weise, sollte der DNS Server auch der Gateway sein, kann BIND dazu konfiguriert werden nur Anfragen, welche von einem dieser Netzwerke gestellt wurden, zu beantworten.

  Eine listen-on Direktive kann folgenderma�en aussehen:

  options { listen-on { 10.0.1.1; }; };

  Auf diese Art und Weise werden nur Anfragen von der Netzwerk-Schnittstelle akzeptiert, die das private Netzwerk (10.0.1.1) verwendet.

• notify — Wird verwendet, wenn die Zone als Slave type festgelegt ist. Die masters- Option teilt dem named eines Slaves die IP-Adressen mit, von denen ma�gebliche Informationen �ber die Zone angefragt werden:

  • yes — Informiert Slave-Server.

  • no — Informiert Slave-Server nicht.

  • explicit — Informiert Slave-Server nur dann, wenn diese in einer also-notify List innerhalb des Zonen Statement angegeben sind.

• pid-file — Legt die Lokalit�t f�r die Prozess-ID-Datei fest, die von named erstellt wurde.

• root-delegation-only — Schaltet die Erzwingung von Delegation-Properties in Top-Level-Dom�nen ein (TLDs) sowie auch Rootzonen mit einer optionellen Exclude-Liste. Delegation ist der Vorgang des Unterteilens einer einzelnen Zone in mehrere Subzonen. Um eine delegierte Zone zu erstellen, werden sogenannte NS recordsbenutzt. NameServer-Records (Delegation-Records) geben die ma�geblichen (autoritativen) Nameserver f�r eine bestimmte Zone bekannt.

  Das folgende root-delegation-only-Beispiel legt eine Exclude-Liste von TLDs fest, deren 'undelegated' Reaktion erwartet und angenommen wird.

  options { root-delegation-only exclude { "ad"; "ar"; "biz"; "cr"; "cu"; "de"; "dm"; "id; "lu"; "lv"; "md"; "ms"; "museum"; "name"; "no"; "pa"; "pf"; "se"; "sr"; "to"; "tw"; "us"; "uy"; }; };

• statistics-file — Erlaubt das Festlegen eines alternativen Ortes in welcher die Statistik-Dateien abgelegt werden. Standardm��ig werden named-Statistiken in /var/named/named.stats gespeichert.

Es gibt noch zahlreiche andere Optionen, bei denen einige voneinander abh�ngig sind, um fehlerfrei zu funktionieren. Weitere Informationen hierzu finden Sie im BIND 9 Administrator Reference Manual, in Abschnitt 12.7.1, und in den man-Seiten zu bind.conf.

12.2.1.4. zone Statement

Ein zone Statement legt die Eigenschaften einer Zone, wie den Ort der Konfigurationsdatei und Zonen-spezifische Optionen fest. Dieses Statement kann dazu benutzt werden, um globale options Statements zu �berschreiben.

Ein zone Statement hat die folgende Form:

zone <zone-name> <zone-class> {
     <zone-options>;
     [<zone-options>; ...]
};

In diesem Statement <zone-name> ist der Name der Zone, <zone-class> ist die optionale Klasse der Zone, und <zone-options> ist eine List von Optionen, welche die Eigenschaften der Zone bestimmen.

Das <zone-name>-Attribut f�r das Zonen Statement ist besonders wichtig, da es den Standardwert f�r die $ORIGIN-Anweisung festlegt, welche den Zonen-Dateien im Verzeichnis /var/named/ entspricht. Der Daemon named h�ngt den Namen der Zone an jeden Nicht-FQDN an, welcher in der Zonen-Datei aufgelistet ist.

Wenn, zum Beispiel, ein zone Statement den Namespace f�r example.com angibt, verwende example.com als <zone-name>, damit es an Hostnamen in der example.com Zonen-Datei angeh�ngt wird.

F�r mehr Information zu Zonen-Dateien, siehe Abschnitt 12.3.

Die am h�ufigsten verwendeten Optionen von zone Statement sind die Folgenden:

• allow-query — Legt fest, welche Clients Informationen �ber diese Zone anfordern d�rfen. Standardm��ig sind alle Anfragen zul�ssig.

• allow-transfer — Bestimmt die Slave-Server, die den Transfer der Informationen �ber die Zonen anfordern d�rfen. Standardm��ig sind alle Transfer-Anfragen zul�ssig.

• allow-update — Bestimmt die Hosts, die Informationen in ihrer Zone dynamisch aktualisieren d�rfen. Standardm��ig sind Anfragen f�r dynamische Updates nicht zul�ssig.

  Wenn Sie zulassen, dass Hosts Informationen �ber ihre Zonen aktualisieren, sollten Sie unbedingt sicherstellen, dass Sie diese Option nur aktivieren, wenn der Host absolut sicher ist. Es ist besser, die Updates der Zonen-Records manuell von einem Administrator durchf�hren zu lassen und den named-Service, soweit m�glich, neu zu laden.

• file — Bestimmt den Namen der Datei im named-Arbeitsverzeichnis, die die Zone-Konfigurationsdateien enth�lt. Standardm��ig ist dies /var/named/.

• masters — Gibt die IP-Adressen an, von denen authorit�re Zoneninformationen erfragt werden k�nnen. Wird nur verwendet, wenn die Zone als type slave spezifiziert ist.

• notify — Gibt an, ob named den Slave-Servern mitteilt, da� eine Zone ge�ndert wurde. Diese Direktive kennt die folgenden Optionen:

  • yes — Informiert Slave-Server.

  • no — Informiert Slave-Server nicht.

  • explicit — Informiert Slave-Server nur dann, wenn diese in einer also-notify List innerhalb des Zonen Statement angegeben sind.

• type — Gibt den Typ der Zone an.

  Folgend ist eine Liste der g�ltigen Optionen:

  • delegation-only — Erzwingt den Delegation-Status von Infrastruktur-Zonen wie z.B. COM, NET oder ORG. Jegliche Antwort ohne explizite oder implizite Delegation wird als NXDOMAIN behandelt. Diese Option ist nur in TLDs oder root-Zone-Dateien anwendbar, die in rekursiven oder Caching Implementationen verwendet werden.

  • forward — Weist den Nameserver an, alle Anfragen zu Informationen �ber die Zone an andere Nameserver weiterzuleiten.

  • hint — Ein spezieller Zonen-Typ, mit dem auf die Root-Nameserver verwiesen wird, die verwendet werden, um Abfragen zu l�sen, wenn eine Zone ansonsten unbekannt ist. Sie brauchen neben der Standarddatei /etc/named.conf keine zus�tzliche Hinweisdatei zu konfigurieren.

  • master — Bezeichnet den Nameserver, der f�r diese Zone ma�geblich ist. Wenn die Konfigurationsdateien f�r diese Zone auf Ihrem System sind, sollte der master-Typ eingestellt werden.

  • slave — Bezeichnet den Nameserver, der f�r diese Zone der Slave-Server ist und der named mitteilt, die Zonen-Konfigurationsdateien f�r diese Zone von der IP-Adresse des Master-Nameservers abzufragen.

• zone-statistics — Weist named an, die Statistiken �ber diese Zone aufzubewahren und diese entweder in der Standard-Datei (/var/named/named.stats) oder an einer Stelle abzulegen, die mit der statistics-file-Option im server-Statement, sofern vorhanden, daf�r eingerichtet wurde. Sehen Sie Abschnitt 12.2.2 f�r weitere Information �ber das server-Statement.

12.2.1.5. Beispiele von zone-Statements

Die meisten �nderungen in der /etc/named.conf-Datei eines Master- oder Slave-Nameservers betreffen das Hinzuf�gen, Modifizieren oder L�schen von zone-Direktiven. Obwohl diese zone-Anweisungen mehrere Optionen enthalten k�nnen, werden von den meisten Nameservern nur wenige verwendet. Die folgenden zone-Direktiven sind sehr allgemeine Beispiele, die auf Master-Slave-Nameservern verwendet werden k�nnen.

Nachfolgend finden Sie ein Beispiel f�r eine zone- Anweisung f�r den prim�ren Nameserver, der example.com (192.168.0.1) hostet:

zone "example.com" IN {
  type master;
  file "example.com.zone";
  allow-update { none; };
};

Diese zone-Direktive benennt die Zone example.com, stellt als Typ master ein und weist den named-Service an, die Datei /var/named/example.com.zone zu lesen und weist named an, Aktualisierungen durch andere Hosts nicht zuzulassen.

Eine zone-Anweisung eines Slave-Servers f�r example.com unterscheidet sich etwas vom vorherigen Beispiel. F�r einen Slave-Server wird der Typ auf slave festgelegt. An die Stelle der Zeile allow-update tritt eine Anweisung, die named die IP-Adresse des Master-Servers mitteilt.

Nachfolgend finden Sie ein Beispiel f�r eine zone-Anweisung f�r die example.com Zone:

zone "example.com" {
  type slave;
  file "example.com.zone";
  masters { 192.168.0.1; };
};

Diese zone-Anweisung weist named auf dem Slave-Server an, bei dem Master-Server mit der IP 192.168.0.1 nach Informationen f�r die Zone example.com zu suchen. Die Informationen, die der Slave-Server vom Master-Server erh�lt, werden in der Datei /var/named/example.com.zone gespeichert.